JTL-Shop 5.6 - Aktuell 5.6.6

[MHillmann]

Release 5.6.0

Dieses Update enthält Bugfixes!
Dieses Update enthält Templateanpassungen!

Wichtigste Änderungen seit 5.5.3
- Bildformat avif wird unterstützt SHOP-6269
- Mailqueue im Backend einsehbar SHOP-7830
- Gesammelt Bugs mit Grundpreisen gelöst SHOP-8767 SHOP-8652 SHOP-7473 SHOP-7317
- Staffelung bei den Versandarten soll "ab" definierbar sein SHOP-2707
- Dualbetrieb von Smarty 4 und Smarty 5 SHOP-8441

Breaking Changes seit 5.5.3
- Nettopreisanzeige bei ausländischen B2B Kunden korrigiert SHOP-6875
- Artikelanzahl in Galerie und Listenansicht vereinheitlicht SHOP-8080
- class_aliases.php entfernt SHOP-8615

Alle seit 5.5.3 geänderten Vorgänge findet ihr in unserem Issuetracker.
Bitte beachtet beim Update von früheren Versionen auch die Releaseposts/Changelogs aller dazwischen liegenden Versionen!

Download Komplettpaket
* Download 5.6.0

Templateänderungen
* Template-Diff NOVA 5.5.3 zu 5.6.0

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.6.1

Dieses Update enthält Bugfixes!
Dieses Update enthält Template-Anpassungen!

Wichtigste Änderungen seit 5.6.0
- kleinere Anpassungen im Template für die Barrierefreiheit
- Abgleich im Wartungsmodus wieder möglich SHOP-9083
- ggf. mehrfache Versandkosten bei unterschiedlichen Steuerklassen SHOP-9085
- behebt Problem bei Plugins in Verbindung mit Child-Template SHOP-9115

Alle seit 5.6.0 geänderten Vorgänge findet ihr in unserem Issuetracker.
Bitte beachtet beim Update von früheren Versionen auch die Releaseposts/Changelogs aller dazwischen liegenden Versionen!

Download Komplettpaket
* Download 5.6.1

Download Patches
* Download Patch v5.6.0 auf v5.6.1

Templateänderungen
* Template-Diff NOVA 5.6.0 zu 5.6.1
* Template-Diff NOVA 5.5.3 zu 5.6.1

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.6.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.6.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.6.2

Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine SSTI (Server-Side Template Injection) im Betreff einer E-Mail. Dritte können dadurch an den Blowfish-Key oder das Datenbankpassword gelangen. Darüber hinaus ist ab Shop 5.4.0 auch eine RCE (Remote Code Execution) möglich, womit potenziell Schadcode auf dem Server ausgeführt werden kann.

Die Sicherheitslücke wurde von dem Sansec Threat Research Team gemeldet.

Download Komplettpaket
* Download 5.6.2

Download Patches
* Download Patch v5.6.0 auf v5.6.2
* Download Patch v5.6.1 auf v5.6.2

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.6.1? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.6.1 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.6.3

Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine XSS (Cross-Site-Scripting) in 2 Funktionen im Admin-Backend. Weiter Informationen dazu gibt es hier.

Die Sicherheitslücke wurde von Marcel Wölke (SySS GmbH) gemeldet.

Download Komplettpaket
* Download 5.6.3

Download Patches
* Download Patch v5.6.0 auf v5.6.3
* Download Patch v5.6.1 auf v5.6.3
* Download Patch v5.6.2 auf v5.6.3

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.6.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.6.4

Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine IDOR (Cross-Account Address Disclosure), bei der die gespeicherten Lieferadressen aller Kunden des Shops ausgelesen werden können.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/advisory-shop-security-bola-idor-shop-9886/

Weiterhin wurde eine Relected XSS Lücke im Passwort Vergessen Flow geschlossen.

Download Komplettpaket
* Download 5.6.4

Download Patches
* Download Patch v5.6.0 auf v5.6.4
* Download Patch v5.6.1 auf v5.6.4
* Download Patch v5.6.2 auf v5.6.4
* Download Patch v5.6.3 auf v5.6.4

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.6.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.6.5

Dieses Update enthält 2 kritische Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
Bei der ersten Sicherheitslücke handelt es sich um einen anonymous safe-mode toggle, bei dem der Shop mit einem einfachen URL-Aufruf in den safe-mode und damit in den Wartungsmodus gesetzt werden kann.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/security/shop-maintenance-mode
-> Gemeldet von Elkaño

Bei der zweiten Sicherheitslücke handelt es sich um eine Unauthenticated stored XSS, bei der invalide consent keys in die Conesnt-Statistik injiziert werden können.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/security/sicherheitsluecke-shop-xss/
-> Gemeldet von Lionel Machire (Metzler GmbH) und Lucas Nill

Weiterhin wurden 2 Path Traversal Security Issues behoben, die aber einen Admin-Zugang benötigen.
Eine davon - Arbitrary File Deletion via Path Traversal (Admin Backend) - wurde gemeldet von
-> Maximilian Hildebrand (m10x.de)

Download Komplettpaket
* Download 5.6.5

Download Patches
* Download Patch v5.6.0 auf v5.6.5
* Download Patch v5.6.1 auf v5.6.5
* Download Patch v5.6.2 auf v5.6.5
* Download Patch v5.6.3 auf v5.6.5
* Download Patch v5.6.4 auf v5.6.5

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.6.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.6.6

Dieses Update enthält mehrere Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
In diesem Build wurden mehrere sicherheitsrelevante Schwachstellen behoben. Wir empfehlen allen Shopbetreibern, das Update zeitnah einzuspielen.
Dieser Build enthält die Sicherheitsfixes aus Version 5.8.4, soweit sie für die Version 5.6 relevant sind. Weitere Informationen finden Sie in den Release-Notes von 5.8.4.

Für die folgenden fünf Schwachstellen haben wir Sicherheitshinweise veröffentlicht. Dort finden Sie alle Details:

• Unauthentifiziertes reflektiertes XSS im OPC-Vorschaumodus
  Weitere Informationen gibt es hier: Sicherheitshinweis OPC-Vorschaumodus
  -> CVE-2026-22308
  -> Gemeldet von Lionel Machire (Metzler GmbH) und Lucas Nill
• Unauthentifiziertes gespeichertes XSS über den Crawler-User-Agent
  Weitere Informationen gibt es hier: Sicherheitshinweis Crawler-User-Agent
  -> CVE-2026-22309
  -> Gemeldet von Elkaño
• Unauthentifiziertes gespeichertes XSS über die 404-URL in den Weiterleitungen
  Weitere Informationen gibt es hier: Sicherheitshinweis 404-Weiterleitungen
  -> CVE-2026-22310
  -> Gemeldet von Elkaño
• Web-Installer nach der Installation nicht gesperrt
  Weitere Informationen gibt es hier: Sicherheitshinweis Web-Installer
  -> CVE-2026-123058
• IDOR im Bestellprozess: fremde Lieferadresse in der eigenen Bestellung
  Weitere Informationen gibt es hier: Sicherheitshinweis Lieferadressen im Bestellprozess
  -> CVE-2026-125060

Außerdem gibt es einen Sicherheitshinweis zum JTL-PayPal-Checkout-Plugin: gespeichertes XSS im Admin-Tab "Offene Bestellungen" (Plugin-Version 2.3.2). Dieser Fix ist nicht Teil des Shop-Builds, sondern wird über ein Plugin-Update ausgeliefert:
Sicherheitshinweis PayPal-Checkout-Plugin
-> CVE-2026-125061
-> Gemeldet von Elkaño

Weitere Security Fixes seit 5.6.5

• Unauthentifizierter Zugriff auf beliebige Klassen über den OPC-ProductStream-Filter
  -> Gemeldet von Mohamed Abdelaal (0xmrma)
• Übernahme von Admin-Konten über die Passwort-zurücksetzen-Funktion
  -> Gemeldet von Marc Zierer
• SQL-Injection in den Filterparametern des Datenbank-Managers; der Datenbank-Manager ist jetzt standardmäßig deaktiviert
  -> Gemeldet von Elkaño
• Path Traversal / Dateizugriff im Backend-IO
  -> Gemeldet von Elkaño
• Fehlende Berechtigungsprüfung bei den OPC-Entwürfen
  -> Gemeldet von Elkaño
• Beliebiges Löschen von Dateien über das Avatar-Upload-Attribut im Admin-Konto
  -> Gemeldet von Elkaño
• SQL-Injection im dbeS-Kategorie-Abgleich
  -> Gemeldet von Elkaño
• SQL-Injection über die Benachrichtigungsaktion im Backend
• Stored XSS durch ungefilterten Kundennamen in den Listenansichten des Backends
• Admin-CSRF-Token wurde im 2FA-Schritt überschrieben
• Fehlende Berechtigungsprüfung für ungeschützte Funktionen im AdminIO
• Zurücksetzen von Einstellungen ohne Berechtigung und ohne CSRF-Token
• Path Traversal beim dbeS-Bilder-Upload
• Fehlende Validierung beim Upload des News-Vorschaubilds

Download Komplettpaket
* Download 5.6.6

Download Patches
* Download Patch v5.6.0 auf v5.6.6
* Download Patch v5.6.1 auf v5.6.6
* Download Patch v5.6.2 auf v5.6.6
* Download Patch v5.6.3 auf v5.6.6
* Download Patch v5.6.4 auf v5.6.6
* Download Patch v5.6.5 auf v5.6.6

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.6.0, 5.6.1, 5.6.2, 5.6.3, 5.6.4 oder 5.6.5? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.6.0, 5.6.1, 5.6.2, 5.6.3, 5.6.4 oder 5.6.5 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern